Pour concilier ChatGPT et RGPD, la règle de prudence tient en une phrase : ne collez jamais dans un assistant IA une information qui identifie une personne ou expose un secret de votre entreprise sans avoir vérifié le cadre contractuel de l’outil. Le reste dépend du document et de la version utilisée, qu’il s’agisse de ChatGPT, de Claude ou de Copilot.

Le vrai risque n’est pas l’outil, mais le copier-coller fait en deux secondes, sans réfléchir. Je passe ici en revue vos documents du quotidien et j’indique pour chacun ce qui peut être confié à un assistant et ce qui doit rester chez vous.

ChatGPT et RGPD : ce que la règle vous demande vraiment

Utiliser un assistant IA dans le respect du RGPD consiste à savoir, avant chaque copier-coller, quelles informations vous transmettez, à qui et avec quelles garanties. Une donnée personnelle, selon la définition des données personnelles par la CNIL, désigne toute information qui permet d’identifier une personne, directement ou indirectement : un nom, un téléphone, mais aussi un numéro de dossier ou une combinaison de détails assez précise pour reconnaître quelqu’un.

Coller des données personnelles dans un assistant IA revient à les transmettre à un prestataire extérieur, souvent situé hors de l’Union européenne. C’est pourtant vous qui restez responsable : vous devez pouvoir dire pourquoi, sur quelle base et avec quelles garanties.

S’y ajoutent vos secrets d’affaires : marges, tarifs négociés, trésorerie. Ils ne relèvent pas du RGPD, mais la loi ne les protège que si vous avez pris des mesures raisonnables pour les garder confidentiels. Les coller dans un outil grand public peut se retourner contre vous en cas de litige.

Puis-je coller un devis ou un fichier client dans ChatGPT ?

Oui pour la structure, non pour le contenu identifiant : l’assistant n’a pas besoin de savoir qui est votre client pour vous aider à rendre un devis plus clair.

Le devis

Un devis mêle les coordonnées du client, le détail de la prestation et vos prix. Retirez tout ce qui permet de reconnaître le client : nom, adresse, téléphone, détails trop précis. Le descriptif technique peut alors en général être partagé. Pour les prix, un tarif public ne pose pas de problème, mais vos coefficients de marge ou une remise négociée relèvent du secret d’affaires : remplacez-les par des montants fictifs.

La fiche client et le fichier de contacts

Coller un export de fichier client dans une version grand public pour « faire une segmentation » revient à transférer toute votre base à un tiers, sans contrat adapté ni information des personnes concernées. Travaillez plutôt sur des données agrégées, comme le nombre de clients par secteur, ou demandez à l’assistant la formule de tableur qui fera le calcul sur votre ordinateur.

Les documents RH

Bulletins de paie, arrêts maladie, entretiens annuels, procédures disciplinaires : ces documents touchent à la vie privée, parfois à la santé, que le RGPD protège de façon renforcée. Ils n’ont rien à faire dans un assistant grand public. L’assistant peut en revanche produire la trame, grille d’entretien ou fiche de poste, que vous remplissez ensuite dans vos propres outils.

Version gratuite ou offre professionnelle : quelle différence pour la confidentialité ?

La confidentialité de ChatGPT, comme celle de Claude ou de Copilot, dépend d’abord de la version utilisée. Les éditeurs distinguent les versions grand public, gratuites ou payantes à titre individuel, et les offres souscrites par l’entreprise.

Sur les versions grand public, vos conversations peuvent, selon les réglages, servir à améliorer les modèles. Chez Anthropic, les utilisateurs de Claude en version gratuite, Pro ou Max doivent ainsi choisir si leurs échanges servent à l’entraînement ; s’ils acceptent, la conservation passe de 30 jours à cinq ans, selon la mise à jour des conditions grand public d’Anthropic.

Les offres professionnelles affichent en général un engagement plus clair : pas d’entraînement par défaut sur vos échanges et un contrat de traitement des données. Chez OpenAI, les données de ChatGPT Business sont ainsi exclues de l’entraînement par défaut, d’après la page d’aide d’OpenAI sur ChatGPT Business.

Ce contrat est le point décisif. Lorsqu’un prestataire traite des données personnelles pour votre compte, le RGPD impose un contrat de sous-traitance (article 28). Les versions grand public n’offrent pas ce cadre : l’éditeur y fixe seul ses conditions et peut utiliser les échanges pour ses propres besoins. Dès qu’il reste des données clients dans un texte, même pseudonymisées, réservez-le donc à un outil couvert par un tel contrat.

Deux nuances, toutefois. Ces conditions évoluent : relisez celles en vigueur chez l’éditeur, pas un article de blog, celui-ci compris. Et une offre professionnelle réduit les risques sans tout permettre : un dossier médical de salarié reste à exclure, quel que soit l’abonnement. Reste un angle mort : le compte gratuit personnel qu’un collaborateur utilise pour des dossiers clients, hors de tout contrôle de l’entreprise.

Quelles alternatives pour garder les données sensibles en interne ?

La première solution est la pseudonymisation des données. Elle consiste à remplacer les noms et coordonnées par des termes génériques ou des codes. Les données restent toutefois personnelles, car quelqu’un qui connaît le contexte peut encore faire le lien. L’anonymisation suppose que plus personne ne puisse, en pratique et de façon définitive, reconnaître la personne, comme le rappelle la fiche de la CNIL sur l’anonymisation. La pseudonymisation réduit donc le risque, sans dispenser d’un outil encadré par contrat.

Vous pouvez aussi privilégier un hébergement en Europe, à vérifier offre par offre : OpenAI, par exemple, le propose sur certaines offres professionnelles et pour les clients éligibles, pas sur les versions grand public. Ce critère ne remplace ni le contrat, ni le tri de ce que vous y mettez.

Reste le modèle local, aussi appelé LLM local : certains modèles d’IA ouverts s’installent sur un ordinateur ou un serveur de l’entreprise, et les données restent en principe dans vos murs, à condition que l’installation soit bien sécurisée. Le RGPD s’applique toujours en interne. L’installation demande un appui technique et les performances peuvent être en retrait, mais la piste mérite d’être étudiée pour des documents RH ou juridiques.

Un exemple : la menuiserie et ses devis

Prenons un exemple fictif. Une menuiserie de huit personnes, près de Bayonne, veut alléger ses devis. Chaque matin, la gérante colle les demandes reçues dans un assistant gratuit, avec les noms, adresses et téléphones des particuliers.

En revoyant sa méthode, elle change deux choses. Elle souscrit une offre professionnelle avec contrat de traitement des données, et elle pseudonymise malgré tout les demandes : les coordonnées deviennent « Client », l’adresse un type de logement, et ses coefficients de prix restent dans son logiciel de facturation. Elle relit chaque devis avant envoi : c’est elle qui s’engage, pas l’outil.

Poser un cadre simple pour toute l’équipe

Ces règles ne valent que si toute l’équipe les connaît. Une charte IA d’une ou deux pages constitue une bonne base : outils autorisés, données interdites, personne à contacter en cas de doute. Elle gagne à être construite avec les collaborateurs, comme je l’explique dans mon article sur l’adoption de l’IA par vos équipes.

Ce cadre répond aussi à l’article 4 du règlement européen sur l’IA, qui demande aux entreprises utilisatrices, y compris d’un simple assistant, de prendre des mesures pour favoriser la maîtrise de l’IA de leurs équipes. La Fresque de l’IA aide à comprendre pourquoi ces règles existent, et une courte formation IA pour vos équipes aide à ancrer les bons réflexes en laissant une trace écrite.

Questions fréquentes

Remplacer les noms suffit-il à respecter le RGPD ?

Pas à lui seul. Remplacer les noms relève de la pseudonymisation : les données restent personnelles, car quelqu’un qui connaît le contexte peut encore faire le lien. Retirer un nom ne suffit pas si l’adresse, la date et le métier permettent d’identifier la personne. Pour des données sensibles, abstenez-vous ou demandez conseil.

Un abonnement payant individuel protège-t-il mes données ?

Pas forcément. Un abonnement individuel donne surtout accès à davantage de fonctions. Les garanties propres aux entreprises, comme un contrat de sous-traitance, relèvent généralement des offres professionnelles : les versions Pro ou Max de Claude suivent ainsi les conditions grand public. Vérifiez les conditions en vigueur avant tout usage sensible.

Qui est responsable si un salarié colle des données clients dans ChatGPT ?

L’entreprise reste responsable des données qu’elle collecte, même si l’erreur vient d’un collaborateur. Un fichier client collé dans un compte personnel peut constituer une violation de données, à évaluer, consigner et, en cas de risque pour les personnes, notifier à la CNIL (article 33). Le dirigeant en répond, pas l’outil.

En résumé

Un assistant IA peut vous aider sur la forme de vos devis ou de vos trames RH, sans recevoir ce qui identifie vos clients, vos salariés ou vos secrets d’affaires. Concilier ChatGPT et RGPD reste une affaire de méthode : l’offre compte, mais ne remplace ni le tri des données ni la relecture humaine. Je vous propose un premier échange pour faire le point sur vos usages.